Uso de las API de evento de auditoría

Los puntos finales REST de eventos de auditoría de dominios de identidad permiten obtener logs de auditoría que abarquen eventos, cambios o acciones significativos. Con estas API, puede integrar toda la información de seguridad y la gestión de eventos (SIEM), el análisis de comportamiento de usuarios y entidades (UEBA) y el agente de seguridad de acceso a la nube (CASB) para sondear los datos de auditoría.

Nota

Los dominios de identidad AuditEvents y determinadas plantillas de informes de las API de Reports dejarán de devolver nuevos datos después del 15 de diciembre de 2024. En su lugar, puede utilizar el servicio OCI Audit para obtener estos datos. Para ver los anuncios de cambio de servicio de IAM, consulte los anuncios de cambio de servicio de IAM.

Los eventos de auditoría permiten revisar las acciones realizadas por los miembros de la organización mediante los detalles proporcionados por los logs de auditoría, como quién realizó la acción y cuál fue la acción. Los dominios de identidad son el punto central de control de todas las actividades que se realizan en el sistema. Genera datos de auditoría en respuesta a todas las operaciones de administrador y usuario final, como inicio de sesión de usuario, acceso a la aplicación, restablecimiento de contraseña, actualización de perfil de usuario, operaciones CRUD en usuarios, grupo, aplicaciones, etc.

Nota

Las fechas y horas relacionadas con eventos de auditoría utilizan el formato de hora universal coordinada (UTC): AAAA-MM-DDThh:mm:ss.mscZ. Por ejemplo, 2022-03-24T10:24:24.022Z.

Se pueden generar informes completos a partir de muchas actividades de administrador y usuario, como las del lado izquierdo del diagrama. En la parte derecha se muestran ejemplos de la actividad histórica del usuario que puede capturar y las estadísticas y análisis que puede generar mediante la importación de datos en herramientas de análisis.

Ejemplos de auditoría

Hay ejemplos de auditoría disponibles para ayudarle a ponerse al día rápidamente. Después de importar la recopilación, escriba "audit" en el filtro para encontrar todas las solicitudes de auditoría. Descargue la recopilación de ejemplos de casos de uso de autenticación de dominios de identidad y el archivo de variables globales de la carpeta idcs-rest-clients dentro del repositorio idm-samples GitHub y, a continuación, impórtelos en Postman.

Eventos de auditoría de dominios de identidad

En esta tabla se proporcionan ID de eventos de algunos de los eventos más importantes de los dominios de identidad.

Categoría de Eventos evento Identificador del Evento

Conexión Única

Conexiones de usuario correctas

sso.session.create.success

Conexión Única

Fallo de Conexión de Usuario

sso.authentication.failure

Eventos de Acceso a la Aplicación

Acceso Correcto a la Aplicación

sso.app.access.success

Eventos de Acceso a la Aplicación

Fallo de acceso a la aplicación

sso.app.access.failure

Autenticación multifactor

Autenticación de paso a paso para el usuario

sso.auth.factor.initiated

Autenticación multifactor

ByPass Creación de código

sso.bypasscode.create.success

Autenticación multifactor

ByPass Eliminación de código

sso.bypasscode.delete.success

Autoservicio

El registro automático del usuario se ha realizado correctamente

admin.me.register.success

Solicitud de acceso de autoservicio

Solicitud de acceso correcta

admin.myrequest.create.success

Notificaciones

Entrega de notificación correcta

notification.delivery.success

Notificaciones

Fallo de Entrega de Notificación

notification.delivery.failure

Sincronización del puente de identidades

Sincronización de puente de ID correcta

idbridge.sync.success

Sincronización del puente de identidades

Fallo de sincronización de puente de ID

idbridge.sync.failure

Contraseña olvidada/restablecida

El restablecimiento de la contraseña se ha realizado correctamente

admin.me.password.reset.success

Reinicio de la contraseña iniciada por el administrador

El restablecimiento de la contraseña se ha realizado correctamente

admin.user.password.reset.success

Cambiar Contraseña

Cambio de contraseña correcto

admin.me.password.change.success

Cambiar Contraseña

Fallo al cambiar la contraseña

admin.me.password.change.failure

Operaciones CRUD de usuario

Creación de Usuario Correcta

admin.user.create.success

Operaciones CRUD de usuario

Activación de usuario correcta

admin.user.activated.success

Operaciones CRUD de usuario

El usuario se ha actualizado correctamente

admin.user.update.success

Operaciones CRUD de usuario

Eliminación de usuario correcta

admin.user.delete.success

Agrupar operaciones CRUD

Creación de Grupo Correcta

admin.group.create.success

Agrupar operaciones CRUD

Error al actualizar el grupo

admin.group.update.success

Agrupar operaciones CRUD

Supresión de grupo correcta

admin.group.delete.success

Agrupar operaciones CRUD

Asignación de afiliación de grupo

admin.group.add.member.success

Agrupar operaciones CRUD

Eliminación de miembros de grupo

admin.group.remove.member.success

Operaciones CRUD de Aplicación

Creación de la aplicación

admin.app.create.success

Operaciones CRUD de Aplicación

Actualización de la Aplicación

admin.app.update.success

Operaciones CRUD de Aplicación

Supresión de la Aplicación

admin.app.delete.success

Provisionamiento de Usuarios

Asignación de usuario correcta

admin.account.create.success

Provisionamiento de Usuarios

Aprovisionamiento de usuario incorrecto

admin.account.delete.success

Recursos de eventos

En la siguiente tabla, se describen los recursos de eventos cruciales.

Recurso del evento Descripción

eventID

ID de evento según lo definido por los componentes de dominios de identidad

actorName

Nombre de usuario (nombre de conexión) del contexto de seguridad

actorDisplayName

Nombre mostrado del usuario del contexto de seguridad

actorId

GUID de usuario desde el contexto de seguridad

actorType

El tipo de actor, ya sea Usuario o Cliente

ssoSessionId

Identificador de SSO en la nube

ssoIdentityProvider

Proveedor de Identidad SSO

ssoAuthFactor

Factor de autenticación utilizado para la autenticación

ssoApplicationId

GUID de identificador de aplicación

ssoApplicationType

Tipo de aplicación SSO: el tipo de aplicación indica si la aplicación es una aplicación OPC o NonOPC y si el tipo es SAML, OAuth o Relleno seguro de formulario basado en el protocolo.

clientIp

Dirección IP de la aplicación cliente que realiza la solicitud

ssoUserAgent

Información del dispositivo del usuario

ssoPlatform

Plataforma utilizada para realizar la autenticación

ssoProtectedResource

URI del recurso protegido (host, puerto y contexto del recurso)

ssoMatchedSignOnPolicy

Política de conexión coincidente, agregada a la versión 18.1.2

Mensaje

Mensaje para éxito o fallo específico del evento

Registro de hora

Registro de hora de cuándo se produjo el evento

Esquema de auditoría

Puede encontrar el esquema de auditoría mediante la API de REST de los dominios de identidad. El esquema de auditoría contiene toda la información tratada en las tablas de este caso de uso.

Solicitud de ejemplo

Realice una operación GET en el punto final /Schemas mediante el esquema AuditEvent.

GET <domainURL>>/admin/v1/Schemas/urn:ietf:params:scim:schemas:oracle:idcs:AuditEvent

Ejemplo de instantánea de respuesta

La siguiente es una instantánea de la respuesta.

{
    "attributes": [
        {
            "caseExact": false,
            "description": "Unique URI of the schema",
            "idcsDisplayName": "ID",
            "idcsSearchable": true,
            "multiValued": false,
            "mutability": "readOnly",
            "name": "id",
            "required": true,
            "returned": "always",
            "type": "string",
            "uniqueness": "global"
        },
        {
            "caseExact": false,
            "description": "An identifier for the Resource as defined by the Service Consumer. The externalId may simplify identification of the Resource between Service Consumer and Service Provider by allowing the Consumer to refer to the Resource with its own identifier, obviating the need to store a local mapping between the local identifier of the Resource and the identifier used by the Service Provider. Each Resource MAY include a non-empty externalId value. The value of the externalId attribute is always issued by the Service Consumer and can never be specified by the Service Provider. The Service Provider MUST always interpret the externalId as scoped to the Service Consumer's tenant.",
            "idcsDisplayName": "External ID",
            "idcsSearchable": false,
            "multiValued": false,
            "mutability": "readWrite",
            "name": "externalId",
            "required": false,
            "returned": "default",
            "type": "string",
            "uniqueness": "none"
        },
        {
            "caseExact": true,
            "description": "Event correlation ID (ECID) correlating a chain of events as belonging to the same business operation (root task). ECID is generated when the request enters the IDCS web tier.",
            "idcsDisplayName": "Execution Context Id",
            "idcsSearchable": true,
            "multiValued": false,
            "mutability": "readWrite",
            "name": "ecId",
            "required": false,
            "returned": "default",
            "type": "string",
            "uniqueness": "none"
        },
        {
            "caseExact": true,
            "description": "Relationship Identifier (RID). This value indicates the position of a particular event/sub-operation within the tree of tasks that begins with the root task.",
            "idcsDisplayName": "Relationship Id",
            "idcsSearchable": true,
            "multiValued": false,
            "mutability": "readWrite",
            "name": "rId",
            "required": false,
            "returned": "default",
            "type": "string",
            "uniqueness": "none"
        },
        {
            "caseExact": false,
            "description": "Timestamp of when the event occurred, provided by the Event Manager (not supplied by clients)",
            "idcsDisplayName": "Timestamp",
            "idcsSearchable": true,
            "multiValued": false,
            "mutability": "readWrite",
            "name": "timestamp",
            "required": false,
            "returned": "default",
            "type": "dateTime",
            "uniqueness": "none"
        },